- 01 Objet
- Application de test purement fictive, avec une API inventée, des rôles de test inventés (« Rôle A », « Rôle B »), des données de test et des sources ; l'autorisation et l'accès d'examen sont inventés pour l'exemple.
- 02 Constat
- Contrôle d'autorisation manquant au niveau des ressources de l'API : lors de la récupération d'un enregistrement, il n'est pas vérifié si l'utilisateur connecté ou son rôle peut accéder précisément à cette ressource.
- 03 Reproduction
- Connecté avec le rôle de test B, récupérer un enregistrement de test inventé du rôle A via son identifiant de ressource. Dans l'exemple, il est renvoyé. Seules des données de test inventées sont utilisées, sans point d'accès réel.
- 04 Risque et priorité
- Élevé (évaluation qualitative, pas une note) : les données d'autres utilisateurs ou rôles seraient consultables.
- 05 Remédiation
- À chaque récupération, vérifier côté serveur si l'utilisateur connecté ou son rôle peut accéder à la ressource demandée ; refuser par défaut et sécuriser la règle par un cas de test.
- 06 Nouvel examen (facultatif)
- Sur demande, le point concrètement corrigé est réexaminé avec les mêmes rôles de test, avec périmètre et calendrier convenus séparément, et consigné dans le dossier avec une nouvelle date.